Wissen
Am Ende dieses Artikels wissen Sie genau, wo sich DORA und die KI-Verordnung überschneiden, wo sie auseinandergehen und wie Sie ein einziges, einheitliches Compliance-Programm aufbauen, das beide erfüllt, statt zweier Programme, die sich gegenseitig duplizieren.
Ein verbreitetes Muster in Banken: ein DORA-Team und ein KI-Governance-Team, die nie miteinander gesprochen haben und dieselben KI-Systeme jeweils als ihr eigenes, separates Compliance-Problem behandeln.
Diese Doppelarbeit ist teuer, und sie ist vermeidbar.
Der Digital Operational Resilience Act (DORA), anwendbar seit Januar 2025, regelt das IKT-Risikomanagement im gesamten Finanzsektor. Die KI-Verordnung, deren Hochrisiko-Pflichten für eigenständige Systeme nach der Verschiebung durch den Digital Omnibus ab dem 2. Dezember 2027 gelten, regelt KI-Systeme in der Entscheidungsfindung. Für jedes Finanzinstitut, das KI einsetzt - und das sind 2026 nahezu alle - gelten beide gleichzeitig für dieselben Systeme.
Ihr KI-gestütztes Kreditscoring-Modell? Es ist eine IKT-Dienstleistung nach DORA und ein Hochrisiko-KI-System nach der KI-Verordnung. Ihre Betrugserkennung? IKT-Asset nach DORA, potenziell Hochrisiko-KI nach der KI-Verordnung. Ihre algorithmische Handelsplattform? DORA, KI-Verordnung und MiFID II. Getrennte Compliance-Programme für jedes davon aufzubauen ist, als beauftragten Sie zwei Architekten mit demselben Gebäude, ohne einem von beiden vom anderen zu erzählen. Am Ende stehen Widersprüche, Lücken und eine Rechnung, die Sie an Ihrer Berufswahl zweifeln lässt.
Die fünf Überschneidungszonen von KI-Verordnung und DORA
Die fünf Zonen, in denen sich KI-Verordnung und DORA für Finanzinstitute überschneiden:
- Risikobewertung - eine Methodik kann sowohl Artikel 9 (KI-Verordnung) als auch Artikel 6 (DORA) bedienen
- Dokumentation - gemeinsame technische Unterlagen statt zweier paralleler Sätze
- Tests - Resilienz- und Konformitätstests auf einem gemeinsamen Kalender
- Vorfallmeldung - eine Erfassung, zwei aufsichtsrechtliche Uhren
- Drittparteienmanagement - KI-Anbieter kommen in dasselbe Register wie IKT-Dienstleister
Im Folgenden ordne ich die konkreten Bereiche zu, in denen DORA und die KI-Verordnung überlappende Anforderungen an dieselben KI-Systeme stellen. Das sind die Zonen, in denen ein einheitliches Vorgehen den größten Aufwand spart. Zunächst eine Einschränkung, denn die Einsparung wird gern überverkauft. Die Überschneidung ist auf der Input-Ebene real: dieselben Workshops, dasselbe Inventar, dieselben Personen im Raum. Auf der Output-Ebene ist sie deutlich dünner, denn eine DORA-Risikobewertung und eine Akte nach Anhang IV werden von unterschiedlichen Aufsichtsbehörden mit unterschiedlichen Fragen gelesen. Teilen Sie die Arbeit und halten Sie die Ergebnisdokumente getrennt.
Zone 1: Risikobewertung
DORA (Artikel 6) verlangt von Finanzunternehmen ein IKT-Risikomanagementrahmenwerk mit Prozessen zur Identifizierung, zum Schutz, zur Erkennung, zur Reaktion, zur Wiederherstellung und zum Lernen. Jedes IKT-System - einschließlich KI-Systeme - muss einer Risikobewertung unterzogen werden.
Die KI-Verordnung (Artikel 9) verlangt ein Risikomanagementsystem für jedes Hochrisiko-KI-System, das die Identifizierung bekannter und vorhersehbarer Risiken, die Risikoschätzung, die Risikobewertung und Minderungsmaßnahmen abdeckt.
Die Überschneidung: Beide wollen, dass Sie Risiken für dasselbe System bewerten. DORA blickt auf Risiken der operationalen Resilienz (Verfügbarkeit, Integrität, Kontinuität). Die KI-Verordnung blickt auf KI-spezifische Risiken (Verzerrung, Genauigkeit, Robustheit, Fairness). Eine einheitliche Risikobewertung mit zwei Modulen - IKT-Resilienz und KI-spezifisch - erfüllt beide, ohne die Stakeholder-Interviews, die Asset-Identifizierung und die Bedrohungsmodellierung zu duplizieren, die beide verlangen.
Zone 2: Dokumentation
DORA (Artikel 8 und 9) verlangt IKT-Asset-Register, die Dokumentation des IKT-Risikomanagementrahmens, Geschäftsfortführungspläne und Kommunikationsstrategien.
Die KI-Verordnung (Anhang IV) verlangt eine technische Dokumentation zu Systembeschreibung, Entwicklungsprozess, Trainingsdaten, Testmethodik, Leistungskennzahlen, Risikominderungen und Maßnahmen zur menschlichen Aufsicht.
Die Überschneidung: Ihr KI-System taucht in beiden Dokumentationssätzen auf. Statt zwei getrennte Aufzeichnungen zu pflegen, bauen Sie eine geschichtete Dokumentationsarchitektur. Der Systemeintrag in Ihrem IKT-Asset-Register verweist auf die technische Dokumentation nach der KI-Verordnung. Risikobewertungen werden sowohl DORA- als auch KI-Verordnungs-Anforderungen zugeordnet. Geschäftsfortführungspläne verweisen auf KI-spezifische Rückfallverfahren. Ein System, eine Dokumentationsfamilie, zwei aufsichtsrechtliche Ergebnisse.
Zone 3: Tests
DORA (Artikel 24 bis 27) schreibt Tests der digitalen operationalen Resilienz vor: Schwachstellenbewertungen, Penetrationstests, szenariobasierte Tests und TLPT für benannte Unternehmen.
Die KI-Verordnung (Artikel 9 Absätze 5 bis 7) verlangt Tests vor der Inbetriebnahme und über den gesamten Lebenszyklus: Genauigkeitstests, Robustheitstests, Verzerrungstests, Leistung unter realen Bedingungen.
Die Überschneidung: Entwerfen Sie ein integriertes Testprogramm. Ihr Penetrationstest kann Angriffsszenarien auf ML-Modelle einschließen und damit sowohl IKT-Resilienz als auch KI-Robustheit prüfen. Ihre szenariobasierten Tests können kombinierte Fehlerbilder abdecken: Systemausfall plus Modelldegradation plus Datenqualitätsprobleme. Ein Testzyklus, zwei Sätze aufsichtsrechtlicher Nachweise. Hier ist eine Warnung angebracht. Die Fachleute, die Penetrationstests durchführen, und diejenigen, die Modelle auf Verzerrungen prüfen, sind meist verschiedene Spezialisten, bei verschiedenen Dienstleistern, aus verschiedenen Budgets finanziert. Die Kalender abzustimmen ist einfach. Berichte zu erzeugen, die jede Aufsichtsbehörde als schlüssigen Nachweis lesen kann, erfordert bewusstes Design - und das muss beim Scoping der Tests geklärt sein, weil ein nachträglicher Umbau während des Schreibens selten funktioniert.
Zone 4: Vorfallmeldung
DORA (Artikel 19) verlangt die Meldung schwerwiegender IKT-Vorfälle an die Finanzaufsicht: eine Erstmeldung innerhalb von 4 Stunden nach Einstufung des Vorfalls als schwerwiegend (und innerhalb von 24 Stunden nach Kenntnisnahme), einen Zwischenbericht innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.
Die KI-Verordnung (Artikel 73) verlangt von Anbietern von Hochrisiko-KI, schwerwiegende Vorfälle an die Marktüberwachungsbehörde zu melden.
Die Überschneidung: Ein einziges Ereignis kann beides auslösen. Ihr KI-Betrugserkennungssystem fällt aus (schwerwiegender IKT-Vorfall nach DORA) und erzeugt zugleich im eingeschränkten Betrieb diskriminierende Ergebnisse (schwerwiegender Vorfall nach der KI-Verordnung). Sie brauchen eine zweigleisige Vorfalleinstufung, die gleichzeitig die DORA-Schweregradkriterien und die Kriterien der KI-Verordnung prüft und Meldungen sowohl an die Finanzaufsicht als auch an die Marktüberwachungsbehörde leitet. Von den fünf Zonen ist dies diejenige, in der sich ein zusammengeführter Prozess wirklich auszahlt - und zugleich die Zone, die am ehesten als Diagramm endet, das niemand je geprobt hat. Die DORA-Uhr läuft bereits, während über die KI-Frage noch diskutiert wird. Legen Sie die Reihenfolge deshalb vorab fest: einstufen und für DORA melden, danach den KI-Strang abarbeiten. Ein laufender Vorfall ist der denkbar schlechteste Moment, um festzustellen, dass zwei Teams uneins sind, wer was erklärt.
Zone 5: Drittparteienmanagement
DORA (Artikel 28 bis 30) verlangt ein detailliertes Management von IKT-Drittparteienrisiken: Informationsregister, vertragliche Anforderungen (Prüfrechte, Ausstiegsstrategien, Datenstandort), Sorgfaltsprüfung, Bewertung des Konzentrationsrisikos.
Die KI-Verordnung (Artikel 16 und 26) legt Anbietern und Betreibern von KI Pflichten auf, darunter die Lieferantenprüfung für KI-Systeme Dritter, den Zugang zur technischen Dokumentation und Überwachungsmöglichkeiten.
Die Überschneidung: Wenn Sie ein KI-System bei einem Anbieter einkaufen, ist dieser Anbieter zugleich IKT-Drittdienstleister (DORA) und KI-Anbieter (KI-Verordnung). Ihr Lieferantenmanagement muss beides abdecken: die vertraglichen Anforderungen von DORA (Ausstiegspläne, Prüfrechte) und die Betreiberpflichten der KI-Verordnung (Zugang zur Dokumentation, Fähigkeit zur Überwachung auf Verzerrungen). Ein Lieferantenvertrag, eine Beziehung, zwei Sätze aufsichtsrechtlicher Erwartungen.
Wo sie sich nicht überschneiden (und Abkürzungen ausfallen)
Ein einheitliches Vorgehen spart Aufwand bei den Überschneidungen. Doch jede der beiden Verordnungen enthält Anforderungen, die die andere schlicht nicht adressiert. Genau hier bringt die Annahme „wenn ich DORA-konform bin, bin ich auch konform mit der KI-Verordnung“ Sie in Schwierigkeiten.
Beginnen Sie in der Spalte zur KI-Verordnung mit den Tests auf Verzerrung und Fairness. Sie brauchen dafür Daten, die Sie möglicherweise gar nicht vorhalten dürfen, statistisches Urteilsvermögen, über das Ihr Modellrisiko-Team vielleicht nicht verfügt, und eine Entscheidung darüber, was Fairness für Ihr Produkt bedeutet, die nur das Geschäft treffen kann. Die anderen drei Punkte sind Prozess, den Sie in einem Quartal entwerfen können. Dieser hier ist eine Auseinandersetzung, die Sie führen müssen, bevor sich das Aufschreiben irgendeines Prozesses lohnt.
Beginnen Sie in der Spalte zur KI-Verordnung mit den Tests auf Verzerrung und Fairness. Sie brauchen dafür Daten, die Sie möglicherweise gar nicht vorhalten dürfen, statistisches Urteilsvermögen, über das Ihr Modellrisiko-Team vielleicht nicht verfügt, und eine Entscheidung darüber, was Fairness für Ihr Produkt bedeutet, die nur das Geschäft treffen kann. Die anderen drei Punkte sind Prozess, den Sie in einem Quartal entwerfen können. Dieser hier ist eine Auseinandersetzung, die Sie führen müssen, bevor sich das Aufschreiben irgendeines Prozesses lohnt.
Anforderungen nur aus DORA
Informationsregister
Das strukturierte Register aller IKT-Drittparteienbeziehungen mit ESA-Entitätscodes, Vertragsverknüpfungen und Funktionszuordnungen. Die KI-Verordnung kennt kein Gegenstück.
xBRL-CSV-Meldung
Das vorgeschriebene strukturierte Datenformat für aufsichtsrechtliche Einreichungen. Reines DORA-Thema, ohne Bezug zur KI-Verordnung.
TLPT
Bedrohungsgeleitete Penetrationstests für benannte Unternehmen. TIBER-EU-Methodik. Eine vollständig eigenständige Anforderung.
Konzentrationsrisiko
Bewertung übermäßiger Abhängigkeit von einzelnen IKT-Dienstleistern. Ein DORA-spezifisches Anliegen, das die KI-Verordnung nicht behandelt.
Anforderungen nur aus der KI-Verordnung
Konformitätsbewertung
Das förmliche Verfahren zum Nachweis der Einhaltung der KI-Verordnung. DORA arbeitet mit aufsichtlicher Überprüfung statt mit Konformitätsbewertung.
Grundrechte-Folgenabschätzung
Für bestimmte Betreiber von Hochrisiko-KI vorgeschrieben (Art. 27). DORA hat keine grundrechtliche Dimension.
Erklärbarkeit von Algorithmen
Ergebnisse von Hochrisiko-KI müssen für menschliche Aufsichtspersonen interpretierbar sein. DORA stellt keine Anforderungen an Erklärbarkeit - eine Blackbox ist unter DORA zulässig, unter der KI-Verordnung nicht.
Tests auf Verzerrung und Fairness
Systematische Prüfung auf diskriminierende Ergebnisse. Eine Kernanforderung der KI-Verordnung (Art. 10) ohne DORA-Gegenstück.
Szenarien aus der Praxis: Wie sich das auswirkt
Theorie trägt nur so weit. So zeigt sich das Doppelregulierungsproblem in der Praxis.
Szenario: KI-Kreditscoring bei einer mittelgroßen Bank
Die Bank nutzt ein KI-Kreditscoring-Modell eines Drittanbieters, nachtrainiert auf eigenen Daten mit eigenen Entscheidungsschwellen.
DORA-Pflichten: Der Anbieter kommt ins Informationsregister. Der Vertrag braucht DORA-konforme Klauseln (Prüfrechte, Ausstiegsstrategie, Datenstandort). Das System muss im IKT-Asset-Register geführt werden. Geschäftsfortführungspläne müssen abdecken, was bei Nichtverfügbarkeit des Scoring-Systems geschieht. Vorfälle, die das System betreffen, sind nach den DORA-RTS-Kriterien einzustufen.
Pflichten aus der KI-Verordnung: Weil die Bank das Modell wesentlich verändert hat (Nachtraining auf eigenen Daten, eigene Schwellenwerte), gilt sie voraussichtlich als Anbieter. Sie braucht eine Konformitätsbewertung, technische Dokumentation nach Anhang IV, Verzerrungstests, Mechanismen menschlicher Aufsicht und die Registrierung in der EU-Datenbank. Wenn das Modell bestimmte Bevölkerungsgruppen systematisch schlechter bewertet, ist das ein Verstoß gegen die KI-Verordnung.
Der einheitliche Ansatz: Eine Risikobewertung mit Modulen für IKT-Resilienz und KI-Spezifika. Ein Dokumentationspaket, das sowohl die Asset-Register-Anforderungen von DORA als auch Anhang IV der KI-Verordnung erfüllt. Ein Lieferantenmanagement, das die DORA-Vertragsklauseln und die Betreiber- und Anbieterpflichten der KI-Verordnung abdeckt. Ein Testprogramm für Resilienz, Genauigkeit und Fairness.
Szenario: KI-gestützte Versicherungszeichnung
Ein Versicherer nutzt KI, um Krankenversicherungspolicen anhand von Risikofaktoren zu bepreisen.
DORA-Pflichten: Aufnahme ins IKT-Asset-Register, Drittparteien-Risikomanagement, falls das Modell ausgelagert ist, Tests der operationalen Resilienz, Vorfallmeldung bei Systemausfällen.
Pflichten aus der KI-Verordnung: Anhang III erfasst die Versicherungsbepreisung ausdrücklich als Hochrisiko. Konformitätsbewertung erforderlich. Es muss belegt werden, dass die Preisergebnisse nicht diskriminieren. Versicherungsnehmern sind nachvollziehbare Erläuterungen zur Ermittlung ihrer Prämie zu geben. Eine Grundrechte-Folgenabschätzung kann greifen. Menschliche Aufsicht bei einzelnen Zeichnungsentscheidungen.
Der kritische Punkt: Wenn das KI-Modell für bestimmte demografische Gruppen diskriminierende Preise erzeugt, drohen dem Versicherer Sanktionen nach der KI-Verordnung (bis zu 15 Mio. € oder 3 % des Umsatzes) und aufsichtsrechtliche Maßnahmen der Versicherungsaufsicht. Zwei Aufsichtsbehörden, ein Problem, gleichzeitige Konsequenzen.
Szenario: ein doppelter Vorfall
Die KI-Betrugserkennung einer Bank erleidet einen Ausfall der Datenpipeline. Während der Störung arbeitet das System auf veralteten Daten und markiert Transaktionen aus bestimmten geografischen Regionen unverhältnismäßig häufig.
DORA-Vorfall: Der Systemausfall erreicht die Schwellenwerte eines schwerwiegenden IKT-Vorfalls. Erstmeldung innerhalb von 4 Stunden an die Finanzaufsicht. Zwischenbericht innerhalb von 72 Stunden. Ursachenanalyse und Abschlussbericht innerhalb eines Monats.
Vorfall nach der KI-Verordnung: Die diskriminierende Markierung stellt einen schwerwiegenden Vorfall nach Artikel 73 dar. Meldung an die Marktüberwachungsbehörde. Dokumentation der Auswirkungen auf die betroffenen Personen.
Die Lehre: Ein Ereignis, zwei Vorfallmeldungen, zwei Aufsichtsbehörden, zwei Fristenläufe, zwei Sätze von Abhilfeerwartungen. Ihr Incident-Response-Playbook muss dieses zweigleisige Szenario abbilden, sonst verpassen Sie eine Meldepflicht.
So bauen Sie das einheitliche Programm
Genug zum Problem. Sprechen wir über Lösungen. Das ist der Ansatz, den ich jedem Finanzinstitut empfehlen würde, das sowohl DORA als auch die KI-Verordnung erfüllen muss.
Schritt 1: ein einziges Inventar. Führen Sie ein Inventar aller IKT-Assets und KI-Systeme. Jeder Eintrag sollte sowohl mit seiner DORA-Einstufung (kritische oder wichtige Funktion? von Dritten bereitgestellt?) als auch mit seiner Einstufung nach der KI-Verordnung (Hochrisiko? wer ist Anbieter? wer ist Betreiber?) versehen sein. Das wird Ihre einzige Quelle der Wahrheit.
Schritt 2: kombinierte Risikobewertungen. Führen Sie für jedes KI-System eine Risikobewertung mit zwei Modulen durch. Modul 1 deckt die IKT-Resilienzrisiken nach DORA ab (Verfügbarkeit, Integrität, Wiederherstellung, Konzentration). Modul 2 deckt die Risiken nach der KI-Verordnung ab (Verzerrung, Genauigkeit, Robustheit, Erklärbarkeit, Datenqualität). Dieselben Beteiligten, derselbe Workshop, zwei Ergebnisse.
Schritt 3: integrierte Tests. Entwerfen Sie Testpläne, die Nachweise für beide Verordnungen erzeugen. Ein Penetrationstest, der Angriffsszenarien auf ML-Modelle einschließt, deckt DORA Artikel 24 und Artikel 15 der KI-Verordnung ab. Ein Szenariotest, der einen Systemausfall mit Modelldegradation simuliert, deckt die DORA-Resilienztests und die Robustheitstests der KI-Verordnung ab.
Schritt 4: zweigleisige Vorfallreaktion. Bauen Sie ein Incident-Response-Playbook, das für jeden KI-bezogenen Vorfall gleichzeitig den DORA-Schweregrad und den Schweregrad nach der KI-Verordnung bewertet, beide Meldeadressaten benennt und beide Abhilfestränge verfolgt.
Schritt 5: einheitliche Governance. Verzichten Sie auf ein „DORA-Komitee“ und ein „KI-Ethikgremium“, die nie miteinander sprechen. Schaffen Sie eine gemeinsame Governance-Struktur, in der IKT-Risiko und KI-Governance zusammen besprochen werden. Die Geschäftsleitung muss beides verstehen: DORA Artikel 5 verlangt IKT-Risikoaufsicht auf Leitungsebene, und Artikel 4 der KI-Verordnung verlangt KI-Kompetenz in der Führung. Die Schritte 1 bis 4 sind Arbeit. Schritt 5 ist Politik, und er entscheidet darüber, ob der Rest zusammenhält. Zwei Gremien zusammenzuführen bedeutet, dass eines davon aufhört zu existieren und jemand einen festen Tagesordnungspunkt verliert. Erwarten Sie also Widerstand, der sich als Sorge um fachliche Tiefe kleidet. Klären Sie das einmal auf Leitungsebene, statt es jedes Quartal neu zu verhandeln.
Schritt 6: eine Plattform nutzen, die die Schnittstelle versteht. Hier zählt das Werkzeug. Eine Plattform, die nur DORA oder nur KI-Governance abbildet, zwingt Sie zu parallelen Systemen. Eine Multi-Framework-Plattform, die die Beziehungen zwischen den Anforderungen von DORA und der KI-Verordnung abbildet, zeigt Ihnen, wo eine Kontrolle beides erfüllt und wo Lücken bestehen. Venvera unterstützt sowohl DORA als auch die KI-Verordnung, mit eingebautem Cross-Framework-Mapping, sodass eine einmal nachgewiesene Kontrolle für beide zählt.
Behandeln Sie beides als eine Aufgabe
Die Finanzinstitute, die hier gut durchkommen, erkennen etwas Grundlegendes: DORA und die KI-Verordnung sind zwei Blickwinkel auf dieselbe operative Realität.
Jedes KI-System in einem Finanzinstitut ist zugleich ein IKT-System. Jede IKT-Risikobewertung für einen KI-gestützten Dienst muss KI-spezifische Risiken berücksichtigen. Jeder KI-Drittanbieter ist zugleich ein IKT-Drittdienstleister. Die Überschneidung ist strukturell, nicht zufällig.
Die Institute, die einheitliche Programme aufbauen - gemeinsame Risikobewertungen, integrierte Tests, kombinierte Dokumentation, zweigleisige Vorfallreaktion - geben weniger aus, kommen schneller voran und sammeln weniger aufsichtliche Feststellungen. Wer parallele Silos pflegt, leistet die doppelte Arbeit für die halbe Sicherheit.
Das DORA-Team und das KI-Governance-Team müssen miteinander sprechen. Am besten gestern.
Häufig gestellte Fragen
Müssen Finanzinstitute sowohl DORA als auch die KI-Verordnung erfüllen?
In aller Regel ja. Wenn Sie Hochrisiko-KI wie Kreditscoring, Versicherungsbepreisung oder Betrugserkennung betreiben, gelten beide Regime gleichzeitig für dieselben Systeme: DORA erfasst das System als IKT, die KI-Verordnung erfasst es als KI. Sie sind nicht austauschbar, und keines befreit vom anderen.
Ab wann gelten die Hochrisiko-Pflichten der KI-Verordnung für Finanzinstitute?
Nach dem Digital Omnibus zur KI, den der Rat am 29. Juni 2026 angenommen hat, gelten eigenständige Hochrisiko-Systeme nach Anhang III - darunter Kreditscoring und Versicherungsbepreisung - ab dem 2. Dezember 2027. Die Transparenzpflichten des Artikels 50 gelten weiterhin ab dem 2. August 2026, und DORA gilt seit dem 17. Januar 2025.
Deckt DORA-Compliance die KI-Verordnung bereits ab?
Nein. Beide überschneiden sich bei Risikobewertung, Dokumentation, Tests, Vorfallmeldung und Drittparteienmanagement, doch die KI-Verordnung ergänzt Konformitätsbewertung, Grundrechte-Folgenabschätzung, Erklärbarkeit sowie Tests auf Verzerrung und Fairness, die DORA nicht berührt. DORA-Konformität verschafft Ihnen einen Vorsprung.
Welche Meldepflichten greifen, wenn ein KI-System ausfällt?
Möglicherweise beide. Ein schwerwiegender IKT-Ausfall löst die Meldung nach DORA Artikel 19 an die Finanzaufsicht aus (4 Stunden, 72 Stunden, ein Monat). Verursacht dasselbe Ereignis zugleich einen schwerwiegenden KI-Vorfall, verlangt Artikel 73 der KI-Verordnung eine Meldung an die Marktüberwachungsbehörde. Ein einzelnes Ereignis kann zwei Uhren starten, Ihr Playbook braucht daher zwei Stränge.
Kann ein einziges Compliance-Programm beides abdecken?
Für die Überschneidungen ja. Ein gemeinsames Inventar von KI und IKT, eine kombinierte Risikobewertung, integrierte Tests und eine zweigleisige Vorfallreaktion erfüllen beide Regime aus einem Programm heraus, wobei rahmenwerkspezifische Arbeit den Bereichen vorbehalten bleibt, in denen sie wirklich auseinandergehen.
Primärquellen
Dieser Leitfaden stützt sich auf die beiden Rechtsakte und amtliche EU-Leitlinien: Verordnung (EU) 2022/2554 (DORA); die KI-Verordnung, Verordnung (EU) 2024/1689 (Artikel 9, 10, 11, 13, 14, 15, 26, 27, 43, 50 und 73 sowie Anhänge III und IV); und die endgültige Annahme des Digital Omnibus zur KI durch den Europäischen Rat (29. Juni 2026), die die Hochrisiko-Termine verschoben hat. Prüfen Sie den aktuellen Text, bevor Sie sich auf ein konkretes Datum verlassen.
Vereinheitlichen Sie Ihre Compliance für DORA und die KI-Verordnung
Venvera steuert regulierungsübergreifende Compliance für Finanzinstitute - DORA, die KI-Verordnung, DSGVO, NIS2 und mehr - mit eingebautem Cross-Framework-Mapping. Ab 399 €/Monat, gehostet in Amsterdam.
Demo buchen →Zuletzt geprüft: Juli 2026. Sowohl DORA als auch die KI-Verordnung unterliegen laufenden delegierten Rechtsakten, technischen Regulierungsstandards und aufsichtlichen Leitlinien. Verfolgen Sie die Aktualisierungen der ESAs, des Europäischen KI-Büros und Ihrer nationalen zuständigen Behörden.
